Zákaz konfigurace VPN na Androidu: kontrolní seznam pro zavedení

Někdo vás požádá, abyste lidem zabránili konfigurovat si vlastní VPN na spravovaných zařízeních Android. Lákavá odpověď je pravidlo firewallu, které zablokuje několik známých portů. Taková odpověď ale pomíjí, jak platforma funguje a jak se aplikace skutečně připojují.

Podporovaným nástrojem je omezující opatření pro správu na zařízení nebo profilu, který vlastníte, a má výslovný rozsah, chování závislé na verzi a výjimku, kterou musíte záměrně nakonfigurovat.

Projděte níže uvedených pět kontrol v pořadí. Každá může plán zneplatnit, takže se zastavte u první, která neobstojí.

Kontrola 1: rozhodněte, co znamená žádná VPN

Za stejnou větou se skrývají dva požadavky. Jeden je, že žádný uživatel nesmí vytvořit vlastní VPN. Druhý je, že smí běžet pouze schválená VPN organizace. Oba jsou legitimní a vedou k různým konfiguracím, různým příběhům podpory a různým režimům selhání.

Napište si, který z nich kupujete, než se dotknete jakékoli konzoly pro správu. Pokud je záměrem jediný schválený tunel pro všechny, zavádíte schválenou cestu se zákazem kolem ní; pokud je záměrem žádné tunely, musíte také přijmout, že cesty vzdáleného přístupu a řešení potíží se změní.

Spletete-li to, zavedení vypadá, že funguje, a přitom tiše odřízne VPN, na níž závisí provoz, což obvykle zjistí službukonající člověk v nevhodnou hodinu.

Kontrola 2: potvrďte oprávnění, které skutečně máte

Android toto omezení vystavuje přes UserManager.DISALLOW_CONFIG_VPN, popsané v referenci UserManager. Brání konfiguraci a spuštění VPN a není to nastavení, které by běžná aplikace mohla použít na sebe ani na jiné aplikace.

Uplatňuje je oprávněný správce: vlastník zařízení pro celé zařízení, nebo vlastník profilu pro spravovaný profil, přičemž stejné oprávnění má i vlastník profilu uvnitř spravovaného profilu. Pokud váš EMM nemůže vystupovat jako jeden z nich, toto omezení nemáte a sebevětší konfigurace zásad v konzoli ho nevytvoří.

Rozsah je stejně důležitý jako oprávnění. Omezení uplatněné na pracovní profil řídí tento profil, ne osobní část téhož telefonu. Popisovat to jako kontrolu nad vším, co uživatel dělá, je nepřesné a vyzkouší to první člověk, který si nainstaluje VPN v osobním profilu a zjistí, že funguje.

Kontrola 3: znáte chování podle verzí

Omezení se mezi verzemi měnilo a rozdíly rozhodují o tom, co vaše zavedení na zařízeních v terénu skutečně udělá.

Právě řádek API 31 lidi uprostřed zavádění překvapí: na těchto zařízeních není vynucení kosmetické, odpojí tunel, který už běžel. Plánujte to jako viditelnou událost, ne jako tichou změnu nastavení.

Řádek API 24 vás zachrání: trvalá VPN nakonfigurovaná vlastníkem omezení přežije, a tak zůstává schválená cesta vůbec dostupná.

Kontrola 4: udržte schválenou cestu živou

Nakonfigurujte a otestujte trvalou VPN organizace dříve, než omezení vynutíte, ne potom. Vynutíte-li ho první, zařízení ztratí tunel i nástroje, kterými byste je diagnostikovali, zároveň.

Ověřte výslovně tři věci: že trvalou VPN vytváří vlastník, a ne uživatel; že se na těchto zařízeních po vynucení spustí; a že přežije restart. Tunel, který se zvedá jen ručně, není schválená cesta; je to fronta žádostí o podporu.

Udržujte cestu obnovy, která nezávisí na tom, zda tunel běží. Konzola pro správu, místní administrátorská cesta nebo mimopásmový kanál fungují všechny. Nefunguje předpoklad, že opravíte rozbitou zásadu přes spojení, které zásada právě vypnula.

Kontrola 5: ověřte a potom popište hranici poctivě

Testujte na skutečném zařízení a skutečném účtu. Potvrďte, že uživatel nemůže VPN přidat ani spustit, potvrďte, že se schválený tunel připojí a přenáší provoz, a potvrďte, že osobní profil se stále chová podle dokumentace. Tyto tři výsledky jsou akceptační kritéria.

Pak si dejte pozor, co tvrdíte. Omezení řídí schopnost VPN v Androidu. Nepřevádí každé povolené spojení na inspektovaný protokol a nebrání aplikaci směrovat vlastní požadavky přes explicitní proxy. Blokování UDP 500, UDP 4500 a jednoho OpenVPN portu není totéž opatření, protože provoz může putovat mnoha transporty, včetně běžně vypadajícího HTTPS.

Je-li požadavek širší než schopnost VPN, zkombinujte to se zásadou distribuce aplikací, kontrolami účtů a síťovými omezeními odpovídajícími prostředí. A zapište, co zůstává mimo rozsah, aby nikdo v příštím auditu nezopakoval částečné omezení jako úplné.